[해외보안뉴스] 퀘스트 다이아그노스틱스, Quanum LSM 시스템 침해로 환자 기록 유출 확인
· 2026-10-23 17:00
· 조회 23
· 원문 ↗
미국의 대형 임상 검사 전문 기업인 Quest Diagnostics가 자사의 Quanum LSM(Laboratory System Manager) 시스템에 대한 미인가 접근 사건이 발생하여 환자 기록이 유출되었다고 공식 발표했습니다. 외부 위협 행위자는 시스템의 권한을 부정하게 획득하여 내부 데이터에 접근한 것으로 확인되었으며, 이로 인해 플랫폼에 저장된 다수의 환자 의료 데이터가 무단으로 노출되었습니다.
이번 사건으로 유출된 정보에는 환자의 인적 사항을 비롯해 검사 요청 내역, 임상 시험 결과 등 민감한 보호 대상 건강 정보(PHI)가 포함된 것으로 파악되었습니다. Quanum LSM 시스템은 수많은 병·의원 및 연구소와 연동되어 진단 데이터를 관리하는 핵심 인프라여서 영향 범위가 넓을 것으로 우려됩니다. 다만, 현재까지 금융 정보나 사회보장번호(SSN) 같은 고위험 개인정보의 직접적인 대규모 유출 정황은 계속 조사 중입니다.
Quest Diagnostics는 침입 정황을 포착한 즉시 영향받은 시스템을 격리 조치하고 보안 패치 및 모니터링을 강화했습니다. 현재 법 집행 기관 및 전문 사이버 보안업체와 협업하여 정확한 유출 규모를 파악하고 있으며, 피해 위험이 있는 환자들에게 관련 사실을 개별 통지할 계획입니다. Quanum LSM 플랫폼을 이용하는 의료 기관 및 담당자는 연동 계정의 자격 증명을 즉시 변경하고 다중 인증(MFA) 적용 상태를 점검하는 등 추가적인 보안 강화 조치를 취해야 합니다.
♥ 추천 0
Quanum LSM과 같은 서브시스템 영역에서 세분화된 접근 제어(RBAC) 누락이나 API 권한 검증 허점이 존재했던 것으로 보입니다.
민감한 환자 정보(PHI)를 다루는 아키텍처라면 내부망이라도 Zero Trust 모델을 기본 적용하고, DB 레벨에서 컬럼 단위의 필드 암호화가 선행되었어야 합니다.
개발 관점에서는 단순 네트워크 경계 보안에 의존하기보다, 데이터 접근 데이터베이스 쿼리 단에서의 이상 징후 탐지와 세션 즉시 차단 메커니즘을 강화하는 피드백이 필요해 보입니다.
Quanum LSM 솔루션에 대한 접근 권한 탈취는 미흡한 인증 메커니즘, API 취약점, 혹은 타협된 계정을 통한 침투 가능성을 높게 시사합니다. 의료 서비스 관리 시스템은 IDOR나 권한 상승 취약점 하나만으로도 대규모 민감 데이터(PHI)의 일괄 탈취가 가능해 공격자에게 매우 높은 악용 가치를 가집니다. 특히 초기 침투 성공 후 해당 시스템을 거점 삼아 내부 네트워크 타 자산으로의 횡적 이동(Lateral Movement)을 시도했을 가능성이 큽니다.
의료 데이터와 같은 고위험 민감 정보의 유출은 기업에 치명적인 재무적·평판적 리스크를 초래하며, 외부 연동 시스템에 대한 엄격한 접근 제어의 필요성을 재확인시켜 줍니다.
우리 조직 역시 제3자 시스템 및 연동 솔루션의 '최소 권한 원칙(Least Privilege)' 준수 여부를 즉각 재점검하고, 제로 트러스트 기반의 모니터링 정책을 강화해야 합니다.
데이터 보호는 단순한 기술적 대응을 넘어 비즈니스 연속성을 좌우하는 핵심 거버넌스 과제임을 인식하고 관련 리스크 관리에 만전을 기하겠습니다.